Что такое параметр Same Site в Cookies

Параметр SameSite в куках определяет, будут ли куки отправляться с кросс-сайтовыми запросами. Он помогает защитить от CSRF-атак и утечки данных.

Значения:

• Strict – куки отправляются только в рамках одного сайта (не включая переходы по ссылкам).
• Lax (дефолт в современных браузерах) – куки отправляются при безопасных методах (GET) и навигации, но не в кросс-сайтовых POST-запросах.
• None – куки отправляются всегда (требует Secure для HTTPS).

Пример:

// Установка куки с SameSite=Lax
document.cookie = "session=abc123; SameSite=Lax; Secure";

Важно:

• Если не указать SameSite, браузеры могут применять Lax по умолчанию.
• Для SameSite=None обязателен атрибут Secure (HTTPS).